Можно построить многоуровневую систему защиты, настроить права доступа, установить средства защиты информации и запретить сотрудникам десятки потенциально опасных действий. Но полностью убрать человека из системы безопасности невозможно.
Сотруднику все равно придется открывать письма, работать с файлами, пользоваться корпоративными сервисами, общаться с коллегами и принимать решения в ситуациях, которые невозможно заранее описать в регламенте.
По опыту Softline, именно здесь возникает один из главных вопросов информационной безопасности: что делать с риском, который нельзя закрыть очередным техническим ограничением?
Представим несколько ситуаций. Пароль соответствует требованиям компании, но тот же пароль используется на внешнем сервисе. Бухгалтеру выдали криптографический токен для подписи платежей, а на время обеда он передал его коллеге. Конфиденциальный отчет защищен в информационной системе, но его распечатанную копию забыли на общем принтере.
Во всех трех случаях технические меры могут быть настроены корректно. Проблема возникает в момент, когда человек начинает действовать не так, как предполагалось при проектировании системы защиты.
Где заканчивается техническая защита
ИБ-системы хорошо справляются с тем, что можно формализовать: ограничить доступ, заблокировать соединение, проверить файл, обнаружить подозрительную активность, но они не могут заставить человека в любой ситуации поступить правильно.
Сотрудник устал, торопится закрыть задачу, получает письмо от якобы знакомого отправителя или сталкивается с процедурой, которая кажется ему слишком неудобной. В этот момент он начинает искать самый быстрый способ решить рабочую задачу.
Опыт Softline показывает, что человеческий фактор нельзя свести только к небрежности или отсутствию дисциплины. На поведение влияют нагрузка, привычки, мотивация, удобство рабочих процессов и то, насколько хорошо человек понимает последствия собственного решения.
Поэтому одной настройки СЗИ недостаточно. Технические меры приходится дополнять организационными правилами и работой с поведением сотрудников.
Почему знания не превращаются в безопасное поведение
Самая очевидная реакция на человеческий фактор — провести обучение. Но и здесь есть проблема: сотрудник может знать правило и все равно его нарушить — причин несколько.
Первая — человек может недооценивать риск. Если раньше ничего не происходило после перехода по подозрительной ссылке, легко решить, что опасность преувеличена. Связь между одним кликом и потенциальным инцидентом при этом остается абстрактной.
В Softline мы считаем важным показывать эту связь на конкретных сценариях. Сотруднику проще понять правило, когда он видит не абстрактное «нельзя передавать данные», а ситуацию, в которой его действие действительно может повлиять на безопасность компании и его самого.
Вторая причина — усталость и снижение концентрации. Человек может знать все необходимые правила, но в конце рабочего дня открыть не то вложение или отправить документ не тому адресату.
Третья — конфликт между безопасностью и удобством. Если корпоративная политика запрещает использовать определенный инструмент, но не дает сотруднику понятной альтернативы, он все равно должен выполнить задачу. В такой ситуации часть людей выберет удобный путь. Это не отменяет нарушения, но объясняет, почему одними запретами проблему решить сложно.
По опыту Softline, рабочий процесс должен учитывать человеческое поведение. Если безопасный способ выполнить задачу слишком сложен, вероятность обхода установленного правила возрастает.
Есть и проблема обратной связи, многие нарушения не приводят к немедленным последствиям. Сотрудник отправил файл не тому человеку и ничего не произошло. Открыл подозрительную ссылку и не увидел никаких изменений на экране. Так постепенно формируется ощущение, что правила можно нарушать без последствий.
Наконец, знания забываются. Разовый курс не гарантирует, что через несколько месяцев сотрудник вспомнит нужное правило и применит его в нестандартной ситуации.
Поэтому эксперты Softline рассматривают Security Awareness (повышение осведомленности сотрудников в области ИБ) как регулярную работу с поведением, а не как единичный обучающий курс.
Почему одного обучения недостаточно
У Security Awareness есть неприятная особенность: сам факт прохождения обучения почти ничего не говорит о том, как человек будет действовать в реальной ситуации.
Можно пройти тест, правильно ответить на вопросы о фишинге и правилах работы с данными, а через неделю открыть подозрительное письмо, потому что оно выглядит достаточно убедительно, поэтому важно разделять два понятия: знание правила и способность применить его на практике.
Для этого нужны регулярное повторение, практические сценарии и проверка того, как сотрудники ведут себя в ситуациях, похожих на реальные. Такой подход помогает увидеть разницу между тем, что человек декларирует на обучении, и тем, что он делает в работе, при этом важно учитывать контекст. Бухгалтер сталкивается с одними рисками, менеджер по продажам — с другими, а сотрудник с доступом к критически важным системам — с третьими.
По мнению экспертов Softline, содержание обучения должно быть связано с реальными рабочими задачами. Тогда сотрудник понимает не только правило, но и момент, когда его нужно применить.
Что получает сам сотрудник
Security Awareness часто объясняют через интересы компании: защита данных, снижение числа инцидентов, сохранение репутации.
Для сотрудника этого может быть недостаточно.
Человек каждый день работает с корпоративными и личными данными, использует облачные сервисы, мессенджеры, нейросети и публичные сети. Ошибка в этих сценариях может затронуть уже не только работодателя.
Например, сотрудник может скопировать рабочую информацию в публичный сервис, отправить файл через неподходящий канал или подключиться к неизвестной сети. Последствия такого действия могут отразиться на его профессиональной репутации и работе.
По опыту Softline, эффективнее говорить с сотрудниками не только о том, что важно компании, но и о том, как безопасное поведение защищает самого человека. Это особенно актуально по мере распространения новых инструментов. Чем быстрее меняются рабочие привычки, тем сложнее ограничиваться правилами, которые были составлены несколько лет назад.
Один из показательных примеров связан с использованием нейросетей. В 2025 году руководитель инженерной компании в Москве лишилась должности после того, как загрузила конфиденциальные документы в DeepSeek. Об этом сообщало РИА Новости со ссылкой на судебные материалы.
Другой пример показывает, как меняются сами сценарии атак. В 2024 году мошенники использовали дипфейк для атаки на британскую инженерную компанию Arup: они имитировали голос и лицо финансового директора и убедили сотрудника перевести деньги. Ущерб составил $25 млн.
Такие сценарии показывают, что сотрудникам приходится учитывать угрозы, которые раньше могли вообще не входить в их рабочую практику.
ИИ в этом контексте добавляет еще один уровень сложности. Работник может хорошо понимать базовые правила информационной безопасности, но не знать, какие ограничения существуют при работе с конкретным ИИ-сервисом или как распознать новую схему социальной инженерии.
В Softline мы считаем, что обучение должно успевать за изменением рабочих инструментов и сценариев атак. Иначе между появлением новой технологии и пониманием связанных с ней рисков возникает разрыв.
Нужен ли Security Awareness небольшому бизнесу
Для небольшой компании может показаться, что программы повышения осведомленности нужны прежде всего крупным организациям с большими ИБ-командами и сложной инфраструктурой.
Но сотрудник малого бизнеса так же работает с электронной почтой, файлами, платежами и корпоративными сервисами. Поэтому сам принцип остается прежним: техническая защита не отменяет решений, которые принимает человек.
Для Softline здесь важен другой вывод: размер компании сам по себе не устраняет человеческий фактор.
В небольшой организации последствия одной ошибки могут быть особенно заметны, поскольку у нее может быть меньше ресурсов для восстановления после инцидента. При этом сотрудник нередко совмещает несколько функций и получает широкий доступ к рабочим системам.
Security Awareness в таком случае не обязательно должен означать сложную многоуровневую программу. Но сотрудники должны понимать базовые сценарии риска и знать, как действовать, если столкнулись с подозрительным письмом, запросом на передачу данных или нестандартным обращением.
А можно ли получить штраф за отсутствие обучения
Здесь важно отделять обязанность обучать сотрудников от обязанности принимать меры по защите информации.
Само по себе отсутствие программы Security Awareness не стоит автоматически трактовать как отдельное нарушение, за которое компания в любом случае получает штраф. Ответственность зависит от требований, распространяющихся на конкретную организацию, характера информации и обстоятельств инцидента.
В Softline мы рекомендуем не использовать обучение как формальную попытку «закрыть» регуляторный риск. Гораздо важнее иметь подтверждение того, что компания действительно управляет связанными с человеческим фактором рисками: определяет правила, доводит их до сотрудников, обучает и проверяет их применение.
Что на самом деле стоит измерять
Главная проблема формального Security Awareness в том, что его легко свести к красивой цифре: 100% сотрудников прошли обучение — но эта цифра показывает только факт прохождения курса. По опыту Softline, гораздо полезнее задавать другой вопрос: изменилось ли поведение сотрудников после обучения?
Если сотрудники стали чаще сообщать о подозрительных письмах, лучше распознают фишинговые сценарии, реже передают чувствительную информацию через небезопасные каналы и понимают, куда обращаться при подозрительном событии, обучение начинает работать как часть системы защиты.
При этом не стоит ожидать, что один курс полностью устранит риск. Задача Security Awareness — сформировать устойчивые привычки и поддерживать их по мере изменения угроз, технологий и рабочих процессов.
Человек остается частью системы безопасности
Можно установить дополнительные средства защиты, ограничить права доступа и постоянно обновлять техническую инфраструктуру, но сотрудник все равно останется участником этой системы. Он открывает письма, принимает звонки, работает с документами, выбирает инструменты и иногда ошибается.
Поэтому в Softline мы рассматриваем Security Awareness как продолжение технической защиты, а не ее замену. Технологии должны закрывать те риски, которые можно автоматизировать. Обучение и организационные меры должны помогать человеку принимать безопасные решения там, где автоматического контроля недостаточно. Главный показатель здесь не количество пройденных курсов, важнее, что сотрудник делает в реальной ситуации.
Если обучение меняет поведение, оно становится частью защиты бизнеса. Если остается формальностью, в системе безопасности по-прежнему остается разрыв между правилами на бумаге и действиями человека.
Комментарии